dsh 插件安全实用指南
2026-08-14
插件就是代码
一个 dsh 插件可以声明工具、钩子与 UI——和任何 npm 包一样，它能在安装时与运行时执行任意代码。请像对待自己项目里新增的依赖一样对待每个插件。
安装前检查什么
查看仓库的许可证与活跃度。优先选择有明确风险披露、无意外网络请求、安装过程不索取凭据的插件。我们的健康评分正是聚合了这些信号。
限制权限
在独立 profile 中运行不受信任的插件，首次运行前审阅 manifest，GitHub 安装固定 commit。定期用插件健康检查审计已安装的插件。